Permisos del móvil sospechosos en una app financiera
Aprende a revisar permisos del móvil que una app financiera o cripto no necesita, qué riesgo añade cada uno y cómo verificar si su uso está justificado.
Permisos que alertan
El permiso de micrófono, llamadas, SMS o registro de llamadas rara vez encaja con una app para saldo, compraventa o retiro de cripto. Revísalo en Ajustes > Apps > Permisos y compáralo con funciones reales como verificación por código o soporte.
El acceso continuo a ubicación, contactos, calendario o actividad física suele ser excesivo para consultar movimientos, copiar una dirección o confirmar una retirada. Si la app no ofrece una función visible que dependa de ese dato, la solicitud merece una revisión adicional.
- Micrófono y cámara pueden ser razonables solo para videollamada KYC o escaneo de documento/QR, no de forma permanente.
- SMS puede usarse para autofill de códigos, pero leer mensajes completos o el historial no suele ser necesario.
Cuándo sí encajan
La cámara sí puede tener sentido al escanear una dirección, un código QR de depósito o un documento de identidad en alta de cuenta. Comprueba si el permiso puede quedar en “Permitir solo mientras se usa la app” en lugar de acceso permanente.
Las notificaciones sí ayudan con alertas de inicio de sesión, retiro pendiente, confirmaciones de red o cambios de estado. Aun así, revisa en la pantalla de ajustes si puedes desactivar avisos promocionales y dejar solo eventos de seguridad y transacción.
- Un permiso puede ser legítimo si la función aparece antes de pedirlo y falla de forma comprensible al negarlo.
- Si una app pide contactos para enviar cripto, verifica si realmente comparte una libreta o si basta con pegar una dirección manualmente.
Cómo verificarlo
Abre la ficha de la app en la tienda, entra en Privacidad o Seguridad de datos y busca qué categorías declara recopilar: ubicación, identificadores, archivos o diagnóstico. Después compáralas con el flujo real de registro, depósito, retirada y soporte dentro de la app.
Prueba un recorrido mínimo: crear cuenta, activar 2FA, copiar una dirección de recepción, consultar una transacción y cerrar sesión. Si para esas tareas básicas exige fotos, contactos o ubicación precisa, anota la pantalla exacta y busca explicación en ayuda, permisos o preguntas frecuentes.
- En Android, revisa Permisos, Uso de batería y Datos móviles; en iPhone, revisa Privacidad y Seguimiento si aparece.
- Una app custodial puede pedir identidad por normativa interna, pero no necesita tu semilla porque esa clave no debería existir en su flujo.
Errores y límites
Confundir copia de seguridad con acceso total al almacenamiento es un error común. Si una wallet de autocustodia exporta archivos, comprueba qué formato guarda, dónde lo deja y si permite protegerlo; nunca concedas acceso amplio sin entender qué se exporta exactamente.
Negar todo permiso tampoco siempre mejora la seguridad si rompe verificaciones críticas. Si desactivas notificaciones o cámara, verifica manualmente cada retiro con hash de transacción, estado, confirmaciones, red elegida, dirección de destino y comisión de red en un explorador independiente.
- Una transferencia confirmada en red no se revierte por haber quitado un permiso después; el control debe hacerse antes de enviar.
- Si una seed phrase quedó expuesta por captura, portapapeles o archivo sin protección, no asumas recuperación automática: mueve fondos a una wallet nueva.